CVE-2017-17671
KrytyczneStreszczenie
vBulletin w wersjach do 5.3.x na systemie Windows umożliwia zdalne wykonanie kodu PHP z powodu dostępności wywołania require_once w niezautoryzowanym żądaniu, które może zawierać sekwencje przejścia katalogów do określenia dowolnej ścieżki. Blokada przejścia katalogu ../ nie działa dla ..\, co pozwala na wykorzystanie tej luki.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania złośliwego kodu na serwerze, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych. Organizacje powinny być świadome ryzyka związanego z nieautoryzowanym dostępem do plików systemowych.
Rekomendacja
Zaleca się aktualizację vBulletin do najnowszej wersji, aby usunąć tę lukę. Dodatkowo, warto wdrożyć mechanizmy zabezpieczające przed nieautoryzowanym dostępem do plików oraz monitorować logi serwera w celu wykrywania podejrzanych działań.
Oryginalny opis (angielski, źródło NVD)
vBulletin through 5.3.x on Windows allows remote PHP code execution because a require_once call is reachable with an unauthenticated request that can include directory traversal sequences to specify an arbitrary pathname, and because ../ traversal is blocked but ..\ traversal is not blocked. For example, an attacker can make an invalid HTTP request containing PHP code, and then make an index.php?routestring= request with enough instances of ".." to reach an Apache HTTP Server log file.